Kurz gesagt: Seit dem 2. Februar 2025 müssen Unternehmen, die KI einsetzen, Maßnahmen zur KI-Kompetenz ihres Personals ergreifen. Seit dem 2. August 2026 gelten die Transparenzpflichten. Die Pflichten für Hochrisiko-Systeme wurden dagegen im Juli 2026 verschoben, auf den 2. Dezember 2027 beziehungsweise den 2. August 2028. Eine KI-Richtlinie ist gesetzlich nicht vorgeschrieben, sie ist aber das praktische Mittel, mehrere Einzelpflichten auf einmal zu erfüllen.
Die Ausgangslage: mehr Nutzung als Regeln
Nach einer Bitkom-Erhebung vom 14. September 2026 setzen erstmals 57 Prozent der Unternehmen KI ein. Befragt wurden 603 Unternehmen ab 20 Beschäftigten in den Kalenderwochen 28 bis 33 des Jahres 2026. Die amtliche Statistik zeichnet ein nüchterneres Bild: Nach der Erhebung des Statistischen Bundesamts für das Jahr 2025 nutzten 26 Prozent aller Unternehmen ab zehn Beschäftigten KI, bei Betrieben mit 10 bis 49 Beschäftigten waren es 23 Prozent, ab 250 Beschäftigten 57 Prozent. Die Zahlen widersprechen sich nicht, sie beruhen auf unterschiedlichen Erhebungsjahren, Größenschwellen und Methoden.
Der für die Praxis wichtigste Wert steht in einer Bitkom-Erhebung vom 21. Oktober 2025: Nur 23 Prozent der Unternehmen hatten Regeln für die KI-Nutzung aufgestellt. Gleichzeitig vermuteten 40 Prozent, dass Beschäftigte private KI-Werkzeuge nutzen, und nur 26 Prozent stellten ihren Leuten selbst ein Werkzeug bereit. Diese Kombination erzeugt genau das, was als Schatten-KI bezeichnet wird: Ein Verbot ohne Alternative führt dazu, dass Firmendaten über private Konten laufen.
Was die KI-Verordnung von Ihnen verlangt
Die Verordnung (EU) 2024/1689 trat am 1. August 2024 in Kraft und gilt gestaffelt. Wer KI nur einsetzt und nicht entwickelt, ist Betreiber, nicht Anbieter. Daraus folgen diese Pflichten:
- Seit 2. Februar 2025: die Verbote nach Artikel 5 und die KI-Kompetenz nach Artikel 4. Praktisch relevant aus den Verboten ist vor allem die Emotionserkennung am Arbeitsplatz.
- Seit 2. August 2025: die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck. Als Nutzer haben Sie dadurch Anspruch auf die aktuelle Modelldokumentation des Anbieters.
- Seit 2. August 2026: die Transparenzpflichten nach Artikel 50. Für Betreiber bedeutet das unter anderem: Deepfakes offenlegen und KI-generierte Texte kennzeichnen, wenn sie der Information der Öffentlichkeit zu Angelegenheiten von öffentlichem Interesse dienen. Eine Ausnahme gilt, wenn der Text substanziell durch einen Menschen geprüft wurde und jemand die redaktionelle Verantwortung trägt. Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, läuft eine Übergangsfrist bis zum 2. Dezember 2026.
Die wichtigste Änderung des Jahres: Mit der Verordnung (EU) 2026/1744, veröffentlicht am 24. Juli 2026 und in Kraft seit dem 27. Juli 2026, wurden die Pflichten für Hochrisiko-Systeme verschoben. Für eigenständige Hochrisiko-Systeme nach Anhang III, zu denen unter anderem KI in der Personalauswahl und bei der Kreditwürdigkeitsprüfung zählt, gilt jetzt der 2. Dezember 2027. Für Sicherheitsbauteile nach Anhang I der 2. August 2028. Wer in einem älteren Ratgeber liest, die Hochrisiko-Pflichten kämen im August 2026, liest einen überholten Stand.
Artikel 4: was KI-Kompetenz wirklich heißt
Auch der Wortlaut von Artikel 4 wurde am 27. Juli 2026 geändert. Bis dahin mussten Unternehmen nach besten Kräften sicherstellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Jetzt heißt es, sie ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu fördern. Ein bestimmtes Kompetenzniveau wird ausdrücklich nicht garantiert. Juristisch ist das der Wechsel von einer Erfolgspflicht zu einer Bemühenspflicht. Die Pflicht selbst besteht seit Februar 2025 unverändert fort.
Die Europäische Kommission führt dazu eine FAQ, zuletzt aktualisiert am 27. Juli 2026. Die praktisch wichtigen Aussagen daraus:
- Die Pflicht trifft auch reine Anwenderunternehmen, nicht nur Entwickler.
- Erfasst sind auch Personen, die im Auftrag des Unternehmens mit den Systemen arbeiten, einschließlich Auftragnehmer und Dienstleister.
- Es gibt kein Einheitsmodell, formale Schulungen sind nicht zwingend.
- Eine Zertifizierung ist nicht erforderlich. Interne Schulungsaufzeichnungen genügen als Nachweis.
- Durchgesetzt wird durch die nationalen Marktüberwachungsbehörden, die Durchsetzung beginnt am 2. August 2026.
Ein Punkt gegen die Panikmache: Artikel 4 ist in Artikel 99 der Verordnung nicht als bußgeldbewehrter Verstoß aufgeführt. Die dort genannten Beträge betreffen andere Artikel. Wer Ihnen für eine fehlende KI-Schulung Bußgelder in Millionenhöhe androht, hat die Verordnung nicht gelesen.
In Deutschland ist seit dem 29. Juli 2026 das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz in Kraft. Die Bundesnetzagentur ist Marktüberwachungsbehörde und zentrale Anlaufstelle, und betreibt seit dem 3. Juli 2025 einen KI-Service Desk für Unternehmen.
Der Datenschutz gilt unverändert daneben
Die KI-Verordnung verdrängt die Datenschutz-Grundverordnung nicht. Sobald personenbezogene Daten in Eingaben, angebundene Dokumente oder Auswertungen fließen, gilt die DSGVO vollständig. Angekündigte Erleichterungen sind bislang Vorschlag, nicht geltendes Recht.
Die Datenschutzkonferenz der deutschen Aufsichtsbehörden hat dazu drei Papiere veröffentlicht:
- Künstliche Intelligenz und Datenschutz, 6. Mai 2024. Als Checkliste entlang der Phasen Auswahl, Implementierung und Nutzung aufgebaut, adressiert ausdrücklich Chatbots auf Basis großer Sprachmodelle.
- Orientierungshilfe zu technischen und organisatorischen Maßnahmen bei Entwicklung und Betrieb von KI-Systemen, Juni 2025. Nennt unter anderem Dokumentation von Zweck und Rechtsgrundlage, Rollen- und Berechtigungskonzepte nach dem Need-to-know-Prinzip, regelmäßige Prüfung der Ausgabequalität und regelmäßige Schulung.
- Orientierungshilfe zu generativen KI-Systemen mit RAG-Methode, Oktober 2025. Dieses Papier ist für alle relevant, die interne Dokumente an ein Sprachmodell anbinden, also für jede Copilot-Einführung. Empfohlen werden unter anderem Qualitätssicherung der Referenzdokumente, Entfernung nicht benötigter personenbezogener Daten sowie Mandantentrennung mit Rechte- und Rollenkonzept.
Auf europäischer Ebene kommt die Stellungnahme 28/2024 des Europäischen Datenschutzausschusses vom 2. Dezember 2024 hinzu. Für einsetzende Unternehmen daraus besonders relevant: Sie müssen prüfen, ob der Anbieter nachgewiesen hat, dass dem Modell keine rechtswidrig verarbeiteten Daten zugrunde liegen.
Das BSI liefert die Sicherheitsperspektive, unter anderem mit dem Papier „Generative KI-Modelle, Chancen und Risiken für Industrie und Behörden“ in der aktualisierten Fassung vom 21. Januar 2025 und dem „Management Blitzlicht Generative KI“ vom 30. August 2024, das sich ausdrücklich an Organisationen mit wenig KI-Erfahrung richtet.
Ein Freigabeprozess, der funktioniert
Die folgenden Bestandteile leiten sich direkt aus den genannten Quellen ab, nicht aus allgemeinen Empfehlungen:
- Rolle klären. Sind wir Betreiber oder werden wir durch eigenes Feintuning zum Anbieter? Das ist ausdrücklich Schritt zwei der Kommissions-FAQ.
- Zugelassene Werkzeuge benennen und bereitstellen. Eine Liste erlaubter Anwendungen plus eine geschäftliche Alternative. Ohne Alternative entsteht Schatten-KI.
- Negativliste. Was nie eingegeben wird, und welche Einsatzformen verboten sind. Emotionserkennung am Arbeitsplatz gehört dazu.
- Vier-Augen-Prinzip für Ergebnisse. Beide DSK-Papiere verlangen eine Prüfung der Richtigkeit beziehungsweise der Ausgabequalität.
- Berechtigungen aufräumen, bevor angebunden wird. Wer interne Dokumente anbindet, macht historisch gewachsene Freigaben plötzlich durchsuchbar. Das ist der praktische Kern der RAG-Orientierungshilfe.
- Kennzeichnung regeln. Wann wird ein KI-erzeugter Text als solcher gekennzeichnet, und wer trägt die redaktionelle Verantwortung.
- Schulung dokumentieren. Nicht zertifizieren, sondern festhalten: wer, wann, welcher Inhalt.
- Beteiligung prüfen. Ob der Betriebsrat mitbestimmt, hängt vom Einzelfall ab. Das Arbeitsgericht Hamburg hat mit Beschluss vom 16. Januar 2024, Aktenzeichen 24 BVGa 1/24, ein Mitbestimmungsrecht in einem Fall verneint, in dem Beschäftigte ChatGPT über private Konten im Browser nutzten, das Unternehmen nichts installierte und keine Daten vom Anbieter erhielt. Das Gericht hat selbst betont, dass die Entscheidung nicht verallgemeinerbar ist. Bei unternehmensweit ausgerolltem Copilot liegt die Sache anders.
Häufige Fragen
Ist eine KI-Richtlinie gesetzlich vorgeschrieben?
Nein. Weder die KI-Verordnung noch die DSGVO schreiben ein solches Dokument vor. Es ist das praktische Mittel, um mehrere Einzelpflichten nachvollziehbar zu erfüllen.
Drohen Bußgelder, wenn wir niemanden schulen?
Artikel 4 ist nicht bußgeldbewehrt. Die Kommission weist allerdings darauf hin, dass Behörden bei einem Vorfall, der auf mangelnde Schulung zurückgeht, verhältnismäßig sanktionieren können.
Dürfen Mitarbeitende ChatGPT privat für die Arbeit nutzen?
Das entscheiden Sie, nicht das Gesetz. Datenschutzrechtlich problematisch wird es, sobald personenbezogene oder vertrauliche Daten eingegeben werden. Deshalb gehört diese Frage in die Richtlinie, verbunden mit einer freigegebenen Alternative.
Wir setzen Microsoft Copilot ein. Reicht das für die Rechtssicherheit?
Nein. Das Werkzeug allein regelt weder Berechtigungen noch Zuständigkeiten. Gerade bei angebundenen internen Dokumenten ist die Aufräumarbeit an den Freigaben der eigentliche Aufwand.
Gelten die Hochrisiko-Pflichten jetzt schon?
Nein. Sie wurden im Juli 2026 auf den 2. Dezember 2027 beziehungsweise den 2. August 2028 verschoben.
Wir begleiten die Einführung
Wir klären mit Ihnen, welche Werkzeuge freigegeben werden, räumen die Berechtigungen auf, bevor interne Daten angebunden werden, und halten die Schulung so fest, dass sie im Zweifel belegbar ist. Rufen Sie uns an unter 0541 50798808 oder schreiben Sie an info@team-data.de.
Quellen
- Verordnung (EU) 2024/1689 (KI-Verordnung), Artikel 4, 5, 26, 50, 99 und 113
- Verordnung (EU) 2026/1744, Amtsblatt vom 24. Juli 2026, in Kraft seit 27. Juli 2026
- Europäische Kommission, AI literacy Questions and Answers, Stand 27. Juli 2026
- Bundesnetzagentur, Inkrafttreten des KI-MIG am 29. Juli 2026, sowie KI-Service Desk seit 3. Juli 2025
- Datenschutzkonferenz, Orientierungshilfen vom 6. Mai 2024, Juni 2025 und Oktober 2025; EDSA-Stellungnahme 28/2024 vom 2. Dezember 2024
- BSI, Generative KI-Modelle (21. Januar 2025) und Management Blitzlicht Generative KI (30. August 2024)
- Bitkom, Presseinformationen vom 14. September 2026 und 21. Oktober 2025; Statistisches Bundesamt, Erhebungsjahr 2025
- Arbeitsgericht Hamburg, Beschluss vom 16. Januar 2024, 24 BVGa 1/24
Stand: September 2026. Dieser Beitrag ersetzt keine Rechtsberatung.
